CVE-2025-20362

Falha de missing authorization (CWE-862) no servidor web VPN do Cisco Secure Firewall ASA e FTD, que permite a um atacante remoto não autenticado acessar endpoints HTTP(S) restritos ligados a remote access VPN. Isoladamente o CVSS é moderado (6.5, sem impacto em disponibilidade), mas a CVE importa porque foi encadeada com a CVE-2025-20333 (execução remota de código) pelo grupo ArcaneDoor numa campanha ativa desde maio de 2025 contra ASA 5500-X Series, com implante de malware e persistência que sobrevive a reboot e a upgrades de software.

A vulnerabilidade está no servidor web usado pelas funcionalidades de acesso remoto VPN (webvpn) do ASA/FTD. Segundo o advisory da Cisco, o problema é validação incorreta de input fornecido pelo usuário em requisições HTTP(S), classificado como CWE-862 (Missing Authorization). O efeito é que um atacante consegue montar uma requisição que alcança uma URL que deveria exigir autenticação, sem apresentar credenciais.

Cisco não publicou detalhes de código ou do endpoint específico afetado — a análise técnica pública detalhada não está disponível nas fontes oficiais consultadas. O que se sabe com certeza é a superfície: o bug só é alcançável se o dispositivo tiver algum recurso que habilite os SSL listen sockets do webvpn. O advisory lista três configurações possíveis: AnyConnect IKEv2 Remote Access com client-services habilitado (crypto ikev2 enable + client-services port), Mobile User Security (MUS) e SSL VPN clássica (webvpn enable na interface). Sem nenhuma dessas features ativas, o endpoint vulnerável não existe no dispositivo.

A Cisco confirmou que o Secure Firewall Management Center (FMC) não é afetado — o problema é específico do plano de dados/gerência local do ASA/FTD, não do console de gerenciamento centralizado.

O vetor é rede: o atacante envia requisições HTTP(S) manipuladas diretamente à interface onde o webvpn está habilitado, sem autenticação prévia (AV:N, PR:N, UI:N no CVSS). O pré-requisito real que a nota de imprensa da vulnerabilidade esconde é a configuração — apenas dispositivos com AnyConnect IKEv2 RA, MUS ou SSL VPN habilitados expõem a superfície; um ASA sem RAVPN configurado não é explorável por esta CVE.

Sozinha, a CVE-2025-20362 entrega apenas acesso não autorizado a um endpoint restrito — não é RCE. O valor operacional para o atacante vem do encadeamento com a CVE-2025-20333, que dá execução remota de código com privilégios elevados. Foi essa combinação que a Cisco e agências de resposta a incidentes documentaram sendo usada desde maio de 2025 pelo ator ArcaneDoor (mesmo grupo da campanha de 2024) para implantar malware, executar comandos e potencialmente exfiltrar dados de dispositivos ASA 5500-X Series com VPN web services habilitado. Os atacantes usaram técnicas de evasão avançadas — desabilitar logging, interceptar comandos CLI e forçar crash do dispositivo para impedir análise forense.

Em 5 de novembro de 2025 a Cisco identificou uma variante de ataque contra dispositivos ainda não corrigidos para as CVE-2025-20333/20362 que causa reload inesperado (DoS), não apenas comprometimento silencioso. Em atualização de abril de 2026, a CISA (via Emergency Directive 25-03) relatou que o ArcaneDoor desenvolveu um mecanismo de persistência que reside no FXOS (sistema operacional base do hardware) e sobrevive ao upgrade para os releases corrigidos de setembro/2025 — e que o raio de ataque foi ampliado para qualquer dispositivo ASA ou FTD, não só a série 5500-X originalmente visada.

Não existe workaround — o próprio advisory da Cisco declara explicitamente 'no workarounds that address this vulnerability'. A única remediação é o upgrade de software. Para os modelos ASA 5500-X (5512-X, 5515-X, 5525-X, 5545-X, 5555-X, 5585-X) rodando os branches 9.12 ou 9.14, a correção está nos releases 'hidden' 9.12.4.72 e 9.14.4.28, distribuídos via Cisco Software Download Center — são os releases finais desses branches, já em fim de suporte. Para as demais plataformas, a Cisco orienta usar o Cisco Software Checker para identificar o primeiro release corrigido para a versão instalada, já que o advisory não lista uma tabela numérica completa de versões-alvo.

Desabilitar as features que habilitam os SSL listen sockets do webvpn (AnyConnect IKEv2 RA com client-services, MUS, SSL VPN) remove a superfície de ataque, mas isso significa desligar o acesso remoto VPN — custo funcional alto e não é apresentado pela Cisco como mitigação recomendada, apenas como consequência de não ter a feature habilitada.

Para dispositivos EoL/EoS sem caminho de upgrade (a maior parte da lista de modelos 5500-X compromissados), a recomendação da Cisco é migração para hardware suportado, não mitigação de configuração. Um ponto crítico levantado pela CISA em atualização posterior: em dispositivos ASA 5500-X sem Secure Boot/Trust Anchor que já foram comprometidos, foi observada modificação do ROMMON que sobrevive a reboot e a upgrade de software — ou seja, apenas atualizar o software pode não remover um implante já instalado. A orientação da ED 25-03 para esses casos é coleta forense (core dump) e procedimentos de 'hunt' antes de assumir que o upgrade resolveu o comprometimento, podendo exigir reimaging completo ou substituição do equipamento.

Sinais documentados pela Cisco/CISA: reload inesperado do dispositivo (indicativo da variante de ataque identificada em novembro de 2025 contra sistemas ainda não corrigidos), logging desabilitado ou interceptação de comandos CLI (técnicas de evasão usadas pelo ArcaneDoor), core dumps anômalos e, em modelos ASA 5500-X sem Secure Boot/Trust Anchor, modificação de ROMMON como indício de persistência. A Cisco publicou um 'Detection Guide for Continued Attacks against Cisco Firewalls' específico para esta campanha, mas o conteúdo detalhado não constava nas fontes consultadas aqui.

Não há assinatura de payload HTTP publicamente detalhada pela Cisco para a CVE-2025-20362 isolada — a exploração bem-sucedida da vulnerabilidade de missing authorization por si só pode não gerar nenhum log de erro visível, já que o objetivo do bug é justamente não acionar a checagem de autenticação. Isso torna a detecção baseada em log de acesso HTTP pouco confiável isoladamente; o indicador mais forte é o comportamento pós-exploração (reload, malware, persistência) descrito pela Cisco, e não a requisição inicial em si.